› › ›

尝试停用 Okta 应用程序

检测尝试停用 Okta 应用程序的行为。攻击者可能尝试修改、停用或删除 Okta 应用程序，以削弱组织的安全控制或扰乱其业务运营。

规则类型: 查询

规则索引:

严重性: 低

风险评分: 21

运行频率: 5 分钟

搜索索引的时间范围: 无 (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考资料:

标签:

版本: 410

规则作者:

规则许可证: Elastic License v2

分类和分析

调查尝试停用 Okta 应用程序的行为

此规则检测尝试停用 Okta 应用程序的行为。未经授权的停用可能会导致服务中断，并对组织构成重大风险。

可能的调查步骤

通过检查 okta.actor.id、okta.actor.type、okta.actor.alternate_id 和 okta.actor.display_name 字段，确定与停用尝试相关的参与者。
确定参与者使用的客户端。查看 okta.client.ip、okta.client.user_agent.raw_user_agent、okta.client.zone、okta.client.device 和 okta.client.id 字段。
如果客户端是设备，请检查 okta.device.id、okta.device.name、okta.device.os_platform、okta.device.os_version 和 okta.device.managed 字段。
从 okta.debug_context.debug_data 和 okta.authentication_context 字段了解事件的上下文。
检查 okta.outcome.result 和 okta.outcome.reason 字段，以查看尝试是否成功或失败。
通过检查 okta.target 字段中记录的先前操作，查看参与此操作的参与者的过去活动。
分析 okta.transaction.id 和 okta.transaction.type 字段，以了解交易的上下文。
评估 okta.event_type 字段中此事件前后发生的活动，以帮助理解活动的完整上下文。

误报分析

响应和补救

需要 Okta Fleet 集成、Filebeat 模块或类似结构的数据才能与此规则兼容。

event.dataset:okta.system and event.action:application.lifecycle.deactivate

框架: MITRE ATT&CK^TM